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Vragen van de leden Gesthuizen en Leijten (beiden SP) aan de Ministers van 
Veiligheid en Justitie en Volksgezondheid, Welzijn en Sport over de opslag van 
DNA-data bij onder andere Google en Amazon (ingezonden 7 juli 2015). 

Antwoord van Minister Van der Steur (Veiligheid en Justitie), mede namens 
de Minister van Volksgezondheid, Welzijn en Sport (ontvangen 10 september 
2015). Zie ook Aanhangsel Handelingen, vergaderjaar 2014-2015, nr. 3004. 

Vraag 1 

Wat is uw reactie op het bericht dat er amper toezicht is op de opslag van 
DNA-data bij onder meer Google en Amazon? 1 

Antwoord 1 

Het gaat hier om een ontwikkeling die relatief kort aan de gang is, in een veld 
waar steeds nieuwe bedrijven bij komen die diensten aanbieden rond het 
gebruik van DNA-data. Zoals de door u aangehaalde bron vermeldt zijn 
overheden in een aantal landen zich bewust van de (privacy-)problematiek die 
hiermee ontstaat. In Nederland kan het College Bescherming Persoonsgege¬ 
vens (Cbp) besluiten hierop te acteren; de Wet Bescherming Persoonsgege¬ 
vens (Wbp) en de in aantocht zijnde EU-verordening Dataprotectie zijn ook 
ten aanzien van de genoemde bedrijven van kracht. 

Vraag 2, 5 en 6 

Hoe krijgen onder meer Google, Amazon, lllumina en het Beijing Genomic 
Institute DNA-data in hun bezit? Gebeurt het afstaan van gegevens aan deze 
bedrijven op vrijwillige basis of ook op andere manieren? Geven de personen 
die hun DNA afstaan toestemming voor de doorverkoop van deze data? 

Wat wordt er met de verzamelde en verkochte DNA-data gedaan? Klopt het 
dat er op maat gemaakte medicijnen en cosmetica worden gecreeërd en dat 
er zelfs over wordt gesproken om DNA-data te combineren met andere 
persoonsgegevens afkomstig van smartphones en draagbare gadgets? Zo ja, 
wat is uw reactie hierop en is hier een juridische grondslag voor? 

Welke bedrijven verzamelen, verwerken en verkopen er nog meer DNA-data? 


1 NRC, zaterdag 4 juli 2015, http://www.nrcq.nl/2015/07/04/wat-google-amazon-en-apple-met- 
jouw-dna-gegevens-willen 
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Antwoord 2, 5 en 6 

Het betreft een in beginsel vrije markt, binnen nationale en internationale 
kaders gereguleerd door handels- en privacywetgeving. De overheid 
verzamelt niet systematisch gegevens over alle bedrijven die zich op deze 
markt begeven en hoe zij te werk gaan; wat dat laatste betreft is het aan een 
bedrijf zelf, gegeven de wettelijke kaders, transparant te zijn over de 
voorwaarden. Het is vervolgens aan de consument zelf om de voorwaarden 
waaronder de dienst wordt aangeboden al dan niet te accepteren. 

Vraag 3, 4 en 7 

In hoeverre is de werkwijze van deze bedrijven met betrekking tot het 
verzamelen, verwerken en doorverkopen van DNA-data rechtmatig? 

Deelt u de mening dat deze werkwijze op z'n minst misbruikgevoelig is? Zo 
ja, welke maatregelen worden of zullen worden genomen om misbruik tegen 
te gaan? Zo nee, waarom niet? 

Kunt u toelichten op welke wijze het toezicht vooraf en achteraf is ingericht 
dat op het verzamelen, verwerken en doorverkopen wordt gehouden? 

Antwoord 3, 4 en 7 

DNA-data zijn persoonsgegevens betreffende erfelijke eigenschappen als 
bedoeld in artikel 21, vierde lid, van de Wet bescherming persoonsgegevens. 
Ingevolge deze bepaling is de verwerking van dergelijke gegevens in beginsel 
alleen toegestaan voor zover de verwerking uitsluitend betrekking heeft op de 
betrokkene bij wie de betreffende gegevens zijn verkregen. Dit beginsel lijdt 
slechts uitzondering in het geval dat een zwaarwegend geneeskundig belang 
prevaleert of de verwerking noodzakelijk is ten behoeve van wetenschappelijk 
onderzoek of statistiek. Bij verwerking ten behoeve van wetenschappelijk 
onderzoek of statistiek, kan dit slechts geschieden met uitdrukkelijke 
toestemming van de betrokkene, tenzij dit onmogelijk blijkt of een onevenre¬ 
dige inspanning kost. Voorts geldt dat bij de uitvoering van het onderzoek of 
de statistiek moet zijn voorzien in zodanige waarborgen dat de persoonlijke 
levenssfeer van de betrokkene niet onevenredig wordt geschaad. In aanvul¬ 
ling op deze algemene bepalingen is het gebruik van erfelijke gegevens door 
werkgevers en verzekeraars nader geregeld in de Wet op de medische 
keuringen. 

De verwerking van DNA-data door bedrijven moet plaatsvinden binnen de 
eerder genoemde wettelijke kaders. Een bedrijf moet een geheel of gedeelte¬ 
lijk geautomatiseerde verwerking van DNA-data melden bij het College 
bescherming persoonsgegevens (Cbp) of bij de eventueel door het bedrijf 
aangestelde functionaris voor de gegevensbescherming. Het Cbp kan op 
basis van deze melding of eventuele andere signalen besluiten een onderzoek 
naar de rechtmatigheid van de verwerking van DNA-data door het bedrijf 
starten. Gelet op de onafhankelijke positie van het Cbp, is het aan het Cbp 
zelf om te bepalen of het daartoe overgaat. 

Vraag 8 

Waarom is er ondanks de geuite zorgen van de Gezondheidsraad over het 
mogelijke misbruik van genetica geen concreet beleid opgesteld? Bent u 
bereid om alsnog zo spoedig mogelijk over te gaan tot het opstellen van 
concreet beleid en tevens over deze zorgen in gesprek te gaan met andere 
lidstaten? Zo nee, waarom niet? 

Antwoord 8 

In haar signalering over «A/exf generation sequencing» heeft de Gezondheids¬ 
raad aangegeven dat het belangrijk is om commerciële aanbieders van 
sequencing (het aflezen van de DNA-volgorde) voor onderzoek of klinische 
toepassingen die zich op de markt bewegen in de gaten te houden, omdat 
niet duidelijk is hoe de kwaliteit van de sequencing en met name de analyse 
en interpretatie wordt bewaakt. 

De Raad voor de Volksgezondheid en Zorg, sinds 1 januari 2015 genaamd de 
Raad voor de Volksgezondheid en Samenleving, heeft in het advies 
«Screening en de rol van de overheid» uit 2008 gesignaleerd dat er risico's 
kleven aan de genetische (zelf)tests door mogelijk misbruik van (genetische- 
jgegevens. In de kabinetsreactie op dit advies heeft de vorige Minister van 
Volksgezondheid, Welzijn en Sport aangegeven dat er reeds wetgeving 
bestaat die ziet op de bescherming van de privacy van burgers (Kamerstuk- 
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ken II, 22 894 nr. 179). De praktijk is dat mensen vrijwillig hun DNA afgeven of 
een app gebruiken waarbij informatie wordt verstrekt. Daarbij zal uiteraard 
sprake moeten zijn van toestemming voor het gebruik van het materiaal en 
de daaruit te verkrijgen data, in overeenstemming met de geldende wet- en 
regelgeving. Het is belangrijk dat de gevolgen van deze afgifte voor de 
gebruiker duidelijk worden gemaakt zodat men weet waarmee wordt 
ingestemd. 

Ten aanzien van gegevensuitwisseling tussen zorgaanbieders ligt het 
wetsvoorstel cliëntenrechten bij elektronische verwerking van gegevens in de 
Eerste Kamer. Hierin wordt geregeld dat elektronische uitwisseling van 
medische gegevens tussen zorgaanbieders via een elektronisch uitwisselings- 
systeem alleen is toegestaan met uitdrukkelijke toestemming van de cliënt. 
Aanvullend bereidt mijn ambtsgenoot van Volksgezondheid, Welzijn en Sport 
ook een wetsvoorstel voor ten aanzien van zeggenschap over lichaamsmateri¬ 
aal. Daarnaast wordt in Brussel, in het kader van de vaststelling van een 
nieuwe Europese Data Protectie Verordening, gesproken over het opnemen 
van regels omtrent gebruik van genetische data. 

Vraag 9 t/m 11 

Deelt u de mening van Google en Amazon waar zij aangeven dat hun 
bestaande privacy- en beveiligingsbeleid voldoende is om genetische data te 
beschermen? Zo nee, waarom niet? 

Biedt het privacy- en beveiligingsbeleid bij andere bedrijven die met 
DNA-data werken voldoende bescherming? 

Welke rol kan het College bescherming persoonsgegevens spelen in het 
toezicht op het gebruik en potentieel misbruik van DNA-data? 

Antwoord 9 t/m 11 

Het is niet aan het kabinet om een individueel geval te beoordelen, zeker niet 
als het gaat om een particulier bedrijf (geen overheidsonderdeel); dat is voor 
een onafhankelijk toezichthouder zoals het Cbp en dat bepaalt zelf waar het 
onderzoek naar doet. De focus van het Cbp ligt voornamelijk op de handha¬ 
vende taak, waar ook de beoordeling van de rechtmatigheid en proportionali¬ 
teit en subsidiariteit van toegepaste gegevensverwerking toebehoort. Het Cbp 
hanteert hiertoe een risicogestuurde aanpak, waarbij prioriteit ligt bij de 
aanpak van ernstige, structurele overtredingen van de Wet bescherming 
persoonsgegevens (Wbp) die grote groepen mensen treffen en waarbij het 
Cbp met zijn bevoegdheden een verschil kan maken. Op basis van die 
beoordeling bepaalt het Cbp welke vorm van toezicht - proactief of achteraf - 
en welk instrument daarvoor nodig is. Dit kan variëren van (ambtshalve) 
onderzoek en het uitgeven van richtsnoeren of zienswijzen, tot het opleggen 
van een last onder dwangsom. 
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